Как настроить SAMBA

Samba за 5 минут

Здесь описан мой опыт в установке и конфигурировании Samba. Я постарался

описать все процедуры для получения работающих конфигураций. Конечно это не

user manual - скорее информация к размышлению. Дополнительное описание

настроек можно найти в документации, прилагаемой к исходным текстам.

Не претендуя на абсолютную истину, с нетерпением жду замечаний и описания

ошибок, допущенных мной. Буду рад обмениваться опытом по конфигурации

Samba.

Зачем это нужно.

Первый звонок.

Пресловутая совместимость продуктов Microsoft.

SysAdmin едет в отпуск (или мечты, которые БУДУТ реальностью).

Что такое Samba.

Установка.

Конфигурация:

Samba как Primary DOMAIN Controller

Дополнительные дирректории

PlainTextPassword

Правка Registry для PlainTextPassword (Windows 95 OSR2)

Правка Registry для PlainTextPassword (Windows 98)

Правка Registry для PlainTextPassword (Windows NT)

Encrypted Password

Создание smbpasswd

Добавление пользователей Samba PDC

Пример smb.conf для Samba PDC (для клиентов Windows 9X)

Добавление участников Samba PDC

Пример smb.conf для Samba PDC (для клиентов Windows 9X / Windows NT)

Samba как участник NT DOMAIN

Пример smb.conf для Samba file-server участника PDC

Пример smb.conf для Samba print-server участника PDC

Добавление Samba-box в DOMAIN

Почему мне понадобилась Samba

Первый звонок

Примерно 2 года назад я установил машину под Linux для обеспечения

корпоративного выхода в Internet. Сразу встала проблема резервного

копирования. Дело в том, что файл-сервер с установленным стримером работал

под управлением Windows NT. Нужно было выбирать: искать клиент NFS для

Windows NT или пытаться найти другой способ. Тогда же я услышал название

Samba.

Пресловутая совместимость продуктов Microsoft

В июне 1998 наша компания купила сетевой принтер HP4000N. Сервером печати

был выбран PDC под WindowsNT3.51sp5. Windows 95 прекрасно работал с этим

принт-сервером, но в сети, как на грех, были две Windows NT 4.0

Workstation.

Может быть по незнанию (не думаю, что все так плохо на самом деле), но в

течение месяца, я безуспешно пытался настроить печать из под Windows NT

Workstation 4.0sp3. Система упорно требовала наличия драйверов на принт-

сервере. Насильная установка сетевого принтера вызывала зависание системы.

Устав от бесполезной траты нервов, я настроил принт-сервер (используя Linux

Slakware 3.5 и Samba 1.9p18-10). Уже несколько месяцев весь офис (примерно

30 компьютеров) прекрасно печатает независимо от операционной системы на

компьютере пользователя.

SysAdmin едет в отпуск (или мечты, которые БУДУТ реальностью)

Так или иначе, но даже компьютерщик должен иногда отдыхать или просто

поболеть. Прекрасно, если он обладает супер-квалификацией и достаточно

суров, чтобы выдрессировать пользователей. Тогда один раз настроив систему,

он может увольняться.

Но я к таким не отношусь; и хотел бы иметь возможность время от времени

проверять работоспособность системы, находясь вне пределов офиса, и если

надо, вносить исправления. Как это сделать, если на сервере стоит WindowsNT

(и не использовать Remote Access, не удобно звонить на модем из другого

города или страны наример - ведь есть Internet)?

Можно использовать BackOrifice ;-) или воспользоваться Microsoft Unix AddOn

Pack.

Это прекрасное решение наталкивается на финансовые трудности. Очень трудно

убедить начальство потратить ~900$ на upgrade Windows NT3.51 до Windows

NT4.0 и ещеё чуть-чуть на AddOn Pack (не узнавал точно, но думаю не мало),

чтобы АДМИНИСТРАТОР КОМЬЮТЕРНОЙ СЕТИ ПОЕХАЛ В ОТПУСК. При этом нужно

учитывать, что в этот комплект входит демон телнета, пароли по сети

передаются plain-text. При наличии у злоумышленника заинтересованности и

snifer все ваши ухищрения по безопасности будут сведены к нулю.

Стоит ли городить огород, если возможность удаленного управления давно

заложена во все UNIX-подобные системы, а развитие средств криптографии

позволяет свободно распространяемым продуктам (я имею в виду SSH)

обеспечить гарантию длительных затрат времени и машинных ресурсов для

расшифровки сетевого трафика? Можно было использовать Samba, но нельзя

преуменьшать удобство Windows NT DOMAIN system (особенно если рабочие

станции в сети сплошной Wintel). И вот появилась Samba 2.0, с ещё не

полной, но достаточно мощной поддержкой WINDOWS NT DOMAIN. Всё идёт к тому,

что все серверы в нашей компании постепенно будут переведены на UNIX-

подобные системы. Прошу прощения за столь долгое предисловие.

Что такое Samba

Samba - свободно распространяемое програмное обеспечение (GPL),

позволяющее:

а) создавать файл- и принт-серверов (для клиентов поддерживающих одну из

реализаций протокола SMB) на базе открытых систем (OpenVMS, Digital Unix,

AIX, IRIX, HPUX, Solaris, FreeBSD, NetBSD, Linux, и т.д.);

б) поддерживать (не полностью) доменную структуру NT DOMAIN;

1) функции первичного контроллера NT DOMAIN (с некоторыми ограничениями,

более подробно - "NT DOMAIN support" на сайте Samba Team;

2) функции участника NT DOMAIN; (с некоторыми ограничениями, более подробно

- "NT DOMAIN support" на сайте Samba Team;

в) обеспечивать сервисы WINS (клиент и сервер), TIME-server и т.д. ;

Рассматривались две конфигурации:

а) Linux-Samba - Primary DOMAIN Controller с клиентами Windows 9x, Windows

NT 4.0;

б) Linux-Samba - участник NT DOMAIN с Primary DOMAIN Controller под Windows

NT Server 3.51 sp5.

Также были рассмотрены случаи применения encrypted и plain-text passwords и

опробована конфигурация с поддержкой квотирования дисков. На данный момент

опробованные конфигурации используются в работе (файл- и принт-серверы).

Мой опыт в установке и настройке пакета ограничен системами на базе Linux

Slakware. Самостоятельно были установлены последние стабильные версии

версии automake, autoconf, make, binutils, egcs. Использовались libc5

стандартной поставки Linux Slakware. Пакет shadow был пересобран с

поддержкой md5crypt. Системы строились с использованием ядер версий 2.0.35

и 2.2.x. В качестве системы печати использовался пакет LPRng. Последнюю

версию samba- latest.tar.gz можно получить на сайте Samba Team.

Установка

Можно скопировать с ftp-сервера бинарные файлы, скомпилированные под Вашу

систему или исходные тексты.

При использовании исходных текстов

Конфигурирование и сборка с поддержкой syslog:

hostname:/usr/src# tar -xvzf samba-2.0.4b.tar.gz

hostname:/usr/src# cd samba-2.0.4b/source

hostname:/usr/src/samba-2.0.4b/source# ./configure --

prefix=/usr/local/samba --with-syslog

hostname:/usr/src/samba-2.0.4b/source# make

hostname:/usr/src/samba-2.0.4b/source# make install

Конфигурирование и сборка с поддержкой syslog и quota:

(должен быть установлен пакет quota из раздела ap1)

hostname:/usr/src# tar -xvzf samba-2.0.4b.targz

hostname:/usr/src# cd samba-2.0.4b/source

hostname:/usr/src/samba-2.0.4b/source# ./configure --

prefix=/usr/local/samba --with-syslog --with-quota

host:/usr/src/samba-2.0.4b/source# make

host:/usr/src/samba-2.0.4b/source# make install

Опция

--prefix=/usr/local/samba

задаёт путь установки. Для получения полного списка опций:

host:/usr/src/samba-2.0.4b/source#./configure --help | more

После этого копируется файл smb.conf c установками по умолчанию:

host:/usr/src/samba-2.0.4b/source#cp ../examples/smb.conf.default

/usr/local/samba/lib/smb.conf

Далее конфигурируется SWAT (Samba Web-based Administrative Tool):

- в файл /etc/inetd.conf добавляеться строка:

swat stream tcp nowait.400 root /usr/local/samba/bin/swat swat

- в файл /etc/services добавляеться строка:

swat 901/tcp # Samba web-based administrative tool

Затем перезапускаетя daemon inetd. При обращении к http://host:901 при

помощи браузера, после введения login & password (root), Вы получаете web-

интерфейс конфигурирования Samba (насколько я знаю - возможна работа с

SSL).

Конфигурации

Primary DOMAIN controller.

Сценарий установки создаёт следующую структуру:

host:/usr/local/samba#ls -la

total 6

drwxr-xr-x 8 root root 1024 Jun 16 10:34 .

drwxr-xr-x 26 root root 1024 Jun 8 17:06 ..

drwxr-xr-x 2 root root 1024 Jun 10 09:31 bin

drwxr-xr-x 3 root root 1024 May 10 17:24 lib

drwxr-xr-x 6 root root 1024 May 7 13:26 man

drwxr-xr-x 5 root root 1024 May 12 21:16 swat

drwxr-xr-x 3 root root 1024 May 7 14:27 var

host:/usr/local/samba#cd lib

host:/usr/local/samba/lib#ls -la

total 3

drwxr-xr-x 3 root root 1024 May 10 17:24 .

drwxr-xr-x 8 root root 1024 Jun 16 10:34 ..

drwxr-xr-x 2 root root 1024 May 7 13:26 codepages

-rw-r--r-- 1 root root 971 Jun 8 17:06 smb.conf

Дополнительные дирректории

Нужно создать несколько дирректорий (даны пути по умолчанию, выбор остаётся

за Вами - всё можно описать в smb.conf:

host:/usr/local/samba/lib# mkdir netlogon

host:/usr/local/samba/lib# chown root:root netlogon ; chmod 751 netlogon

host:/usr/local/samba/lib# cd ../ ; mkdir profiles

host:/usr/local/samba# chown root:root profiles ; chmod 751 profiles

host:/usr/local/samba#

При использовании в качестве клиентов Windows NT Workstation или Windows

98, имеет смысл создавать [profiles] на квотированном разделе диска.

Windows 95 (без дополнительных правок в Registry) сохраняет в [profiles]

только user.dat

Также следует обратить внимание, что logon-scripts надо создавать с

использованием Dos- или Windows- редактора текста.

Plaintext Password

Следует определиться с типом security. Хост, сконфигурированный как PDC,

несёт функцию авторизации. Значения ключа [security] могут принимать

значения [share], [user], [server], [domain]. Для каждой из ниже

приведённых конфигураций можно указать различный тип [security].

Ключ [encrypt password] определяет какой механизм авторизации будет

включен. Если ключу [encrypt password] присвоено значение "No", то

авторизация пользователей производится исходя из учётных записей в passwd и

shadow. В этом случае, пароли прередаются по сети PlainText. Windows 95

OSR2, Windows 98, Windows NT требуют изменений в registry:

(не рекомендуется для Windows NT)

Windows 95 OSR2

[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP]

"EnablePlainTextPassword"=dword:00000001

Windows 98

[HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP]

"EnablePlainTextPassword"=dword:00000001

Windows NT

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Rdr\Parameters]

"EnablePlainTextPassword"=dword:00000001

Encripted Password

Все дальнейшие конфигурации рассматриваються для значения ключа [encrypted

password] = Yes.

При значении ключа [encript passwords] = Yes , авторизация проходит с

использованием файла smbpasswd. Месторасположение по умолчанию:

/usr/local/samba/private/smbpasswd

По умолчанию инсталяционный скрипт не создаёт private/smbpasswd. Для

внесения учётной записи пользователя в файл smbpasswd, нужно:

1. создать smbpasswd

host:/usr/local/samba#ls -la

total 6

drwxr-xr-x 8 root root 1024 Jun 16 10:34 .

drwxr-xr-x 26 root root 1024 Jun 8 17:06 ..

drwxr-xr-x 2 root root 1024 Jun 10 09:31 bin

drwxr-xr-x 3 root root 1024 May 10 17:24 lib

drwxr-xr-x 6 root root 1024 May 7 13:26 man

drwxr-xr-x 5 root root 1024 May 12 21:16 swat

drwxr-xr-x 3 root root 1024 May 7 14:27 var

host:/usr/local/samba#mkdir private

host:/usr/local/samba#echo > /private/smbpasswd ; cd private

host:/usr/local/samba/private# chown root:root smbpasswd ; chmod 600

smbpasswd ; cd ../

host:/usr/local/samba/# chown root:root private ; chmod 500 private

2. должна существовать учётная запись Unix:

Нужно отметить, что файлы passwd и shadow должны содержать учётные записи

пользователей. При значении ключа [encrypt password] = Yes , учётные

записи могут иметь вид:

passwd:

...

username:x:1016:100:MYGROUP User,,,:/home/user_name:/dev/null

...

shadow:

...

username:*:10666:0:99999:7:::

...

3. использовать smbpasswd для создания учётной записи в

/usr/local/samba/private/smbpasswd

host:~#/usr/local/samba/bin/smbpasswd -a user_name

Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0

New SMB password:

Retype New SMB password:

Addedd user user_name

Password changed for user user_name

host:~#

4. активировать учётную запись (по умолчанию выставляется ключ [account

disabled]):

host:~#/usr/local/samba/bin/smbpasswd -e user_name

Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0

User user_name enabled

host:~#

При начальной установке можно использовать скрипт mksmbpasswd.sh, входящий

в комплект поставки.

host:~#chmod +x /usr/src/samba-2.0.4b/source/script/mksmbpasswd.sh

host:~#cat /etc/passwd | /usr/src/samba-2.0.4b/source/script/mksmbpasswd.sh

> \

/usr/local/samba/private/smbpasswd

host:~#

Пример рабочей конфигурации Primary Domain Controller (клиенты Windows 9x):

используется тип security = user

# Samba config file created using SWAT

# Global parameters

workgroup = MYGROUP

netbios name = ASERVER

server string = DOMAIN Controller

security = user

encrypt passwords = Yes

passwd program = /usr/bin/passwd

log file = /usr/local/samba/var/log.%U

max log size = 50

nt acl support = Yes

time server = Yes

socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY SO_RCVBUF=4096

SO_SNDBUF=4096

load printers = No

character set = KOI8-R

client code page = 866

logon script = %U.bat

logon path = \\%N\Profiles\%U

domain logons = Yes

os level = 33

preferred master = Yes

domain master = Yes

dns proxy = Yes

wins proxy = Yes

wins support = Yes

hosts allow = x.x.x.

[homes]

comment = Home Directories

read only = No

create mask = 0600

browseable = No

[netlogon]

comment = Network Logon Service

path = /usr/local/samba/lib/netlogon

guest ok = No

public = No

locking = No

share modes = No

browseable = Yes

[Profiles]

comment = Users' Profiles

path = /usr/local/samba/profiles

read only = No

browseable = No

[Public]

comment = Public

path = /usr/pub

read only = No

create mask = 0650

Всё! Можно запускать:

host:~#/usr/local/samba/bin/smbd -D -d2

host:~#/usr/local/samba/bin/nmbd -D -d2

host:~#

Проведя соответствующие настройки в Network Neighbrohood (такие как enable

NT Domain logon и т.д), можно попробовать зайти в сеть. Для сохранения

настроек user.dat(для Windows 95) или полного User Profile (для Windows 98)

нужно сделать:

host:~#cd /usr/local/samba/profils

host:/usr/local/samba/profiles#mkdir user_name

host:/usr/local/samba/profiles#chown -R user_name:root user_name ; chmod -R

751 user_name

host:/usr/local/samba/profiles#

Добавление участников Samba PDC

Если в сети есть клиенты Windows NT, необходимо произвести некоторые

изменения в конфигурации Samba. Также станция с Windows NT, должна быть

включена в Samba DOMAIN, то есть в smbpasswd должна быть внесена учётная

запись mashine account. Прежде всего создаём Unix-учётную запись (вносим

пользователя с user_name = [netbios_name включаемой в NT DOMAIN рабочей

станции]+[$], что-то типа nt_ws_1$):

host:~#adduser

User id fot netbios_name [defaults to next available]:

Initial groups for netbios_name [users]: nobody

netbios_name$'s home directory [/home/netbios_name]: /dev/null

netbios_name$'s shell [/bin/bash]:

netbios_name$'s account expiry date [MM/DD/YY]:

Ok, I'm about to make a new account. Here's what you entered so far:

New login name: netbios_name$

New UID: [Next available]

Initial group: nobody

Additional groups: [none]

Home directory: /dev/null

Shell: /bin/false

Expiry date: [no expiratron]

This is it... if you want to bail it out, hit Control-C. Otherwise, press

ENTER to go ahead and make the account.

Making new account...

Changing the user information for netbios_name

Enter the new value, or press return for the default

Full Name []:

Room Number []:

Work Phone []:

Home Phone []:

Other []:

Changing password for netbios_name

Enter the new password (minimum of 8, maximum of 127 characters)

Please use a combination of upper and lower case letters and numbers.

New password: some_password_will_be_changed_to-"*-in_shadow_files

Re-enter new password: some_password_will_be_changed_to-"*-in_shadow_files

Done...

host:~#

После этого я правил shadow, меняя зашифрованный пароль на "*".

Следуюший шаг - внесение учётной записи машины в smbpasswd:

host:~# /usr/local/samba/bin/smbpasswd -a -m netbios_name

Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0

Addedd netbios_name$

Password changed for user netbios__name$

host:~#

Обратите внимание, что имея Unix-учётную запись netbios_name$, при внесении

в smbpasswd используем netbios_name.

Пример рабочей конфигурации Primary Domain Controller (клиенты Windows 9x /

Windows NT):

используется тип security = user

# Samba config file created using SWAT

# Global parameters

workgroup = MYGROUP

netbios name = ASERVER

server string = DOMAIN Controller

security = user

encrypt passwords = Yes

passwd program = /usr/bin/passwd

log file = /usr/local/samba/var/log.%U

max log size = 50

nt acl support = Yes

time server = Yes

socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY SO_RCVBUF=4096

SO_SNDBUF=4096

load printers = No

character set = KOI8-R

client code page = 866

logon script = %U.bat

logon path = \\%N\Profiles\%U

domain logons = Yes

os level = 33

preferred master = Yes

domain master = Yes

dns proxy = Yes

wins proxy = Yes

wins support = Yes

hosts allow = x.x.x.

[homes]

comment = Home Directories

read only = No

create mask = 0600

browseable = No

[netlogon]

comment = Network Logon Service

path = /usr/local/samba/lib/netlogon

guest ok = No

public = No

share modes = No

locking = No

browseable = Yes

[Profiles]

comment = Users' Profiles

path = /usr/local/samba/profiles

read only = No

browseable = No

[Public]

comment = Public

path = /usr/pub

read only = No

create mask = 0650

Всё! Можно запускать:

host:~#/usr/local/samba/bin/smbd -D -d2

host:~#/usr/local/samba/bin/nmbd -D -d2

host:~#

После этого следует стандартная процедура подключения Windows NT

Workstation к PDC. Перегружаем Windows NT - можно попробовать зайти!

NT DOMAIN members

Сначала модифицируeтся файл smb.conf. Ниже приведены рабочие конфигурации

файл- и принт-сервера (участников NT DOMAIN).

Файл-сервер (пароли шифрованы и проверяются на указанном сервере,

выполняющем роль Primary DOMAIN controller):

используется тип security = domain.

# Samba config file created using SWAT

# Global parameters

workgroup = MYGROUP

netbios name = FSERVER1

server string = File-server 1

security = DOMAIN

encrypt passwords = Yes

password server = ASERVER

username map = /usr/local/samba/lib/username.map

log level = 2

log file = /usr/local/samba/var/log.%U

nt acl support = Yes

name resolve order = host wins bcast lmhosts

keepalive = 30

lpq cache time = 30

socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY SO_RCVBUF=4096

SO_SNDBUF=4096

load printers = No

character set = KOI8-R

client code page = 866

os level = 30

lm interval = 10

dns proxy = No

wins server = x.x.x.x

hosts allow = x.x.x.

wide links = No

[Public]

comment = Varios files

path =/pub/

read only = No

create mask = 0744

Print-сервер (пароли шифрованы, и проверяются на указанном сервер,

выполняющем роль Primary DOMAIN controller):

используется тип security = domain

# Samba config file created using SWAT

# Global parameters

[global]

workgroup = MYGROUP

netbios name = PSERVER1

server string = Print server

security = DOMAIN

encrypt passwords = Yes

password server = ASERVER

username map = /usr/local/samba/lib/username.map

log level = 2

syslog = 2

log file = /usr/local/samba/var/log.%U

name resolve order = host wins bcast lmhosts

keepalive = 60

lpq cache time = 5

socket options = SO_KEEPALIVE SO_BROADCAST TCP_NODELAY IPTOS_THROUGHPUT

SO_RCVBUF=4096 SO_SNDBUF=4096

load printers = No

os level = 30

wins server = x.x.x.x

hosts allow = x.x.x.

printing = lprng

wide links = No

[hp6p]

print command = /usr/local/bin/lpr -h -r -P%p %s; rm %s

lpq command = /usr/local/bin/lpq -P%p

lprm command = /usr/local/bin/lprm -P%p %j

comment = hp6p Laser Jet

path = /usr/local/samba/spool/hp6p

print ok = Yes

printer name = hp6p

[hp4000n]

print command = /usr/local/bin/lpr -h -r -P%p %s; rm %s

lpq command = /usr/local/bin/lpq -P%p

lprm command = /usr/local/bin/lprm -P%p %j

comment = hp4000n Laser Jet

path = /usr/local/samba/spool/hp4000n

print ok = Yes

printer name = hp4000n

[tek350e]

print command = /usr/local/bin/lpr -h -r -P%p %s; rm %s

lpq command = /usr/local/bin/lpq -P%p

lprm command = /usr/local/bin/lprm -P%p %j

comment = Tektronix 350 ext

path = /usr/local/samba/spool/tek350e

print ok = Yes

printer name = tek350e

Должна существовать Unix-учётная запись в passwd и shadow.

Нужно отметить, что файлы passwd и shadow должны содержать учётные записи

пользователей NT Domain (можно использовать username.map).

passwd:

...

username:x:1016:300:MYGROUP User,,,:/dev/null:/dev/null

...

shadow:

...

username:*:10666:0:99999:7:::

...

Добавление Samba-box в DOMAIN

После окончания конфигурации (при незапущенных демонах smbd и nmbd)

производиться добавление Samba-box в NT DOMAIN (используя Server Manager

for DOMAIN, если PDC - Windows NT Server или рассмотренную выше процедуру).

Сначала на PDC добавляем Samba-box. Далее используем smbpasswd:

host:~#/usr/local/samba/bin/smbpasswd -j MYGROUP -r PDC_netbios_name

Added interface ip=x.x.x.x broadcast=x.x.x.255 netmask=255.255.255.0

YYYY/MM/DD hh:mm:ss : change_trust_account_password:

Changed password for domain MYGROUP.

Joined domain MYGROUP.

host:~#

Можно запускать!

host:~#/usr/local/samba/bin/smbd -D -d2

host:~#/usr/local/samba/bin/nmbd -D -d2

host:~#

Ресурсы

Новости: вышел второй релиз Samaba

Главный сайт: Samba Team

Архив документации: Samba Docs Arhiv

SMB HOW-TO на русском: на www.linux.org.ru

Илья Басин.

Рефераты

Как настроить SAMBA

Как настроить SAMBA